De qué se trata

Drupal ist ein freies Content-Management-System, basierend auf der Scriptsprache PHP und einer SQL-Datenbank. Über zahlreiche Extensions kann der Funktionsumfang der Core-Installation individuell erweitert werden. Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Drupal Core ausnutzen, um eine SQL-Injection durchzuführen, die je nach Datenbankkonfiguration zur Offenlegung von Informationen, zur Erweiterung von Privilegien oder zur potenziellen Ausführung von Remote-Code führen kann.

¿En qué condiciones?

A través de la red y sin iniciar sesión. Es la combinación más peligrosa: los atacantes pueden rastrear automáticamente los dispositivos accesibles.

Lo que puede pasar en el peor de los casos

Un atacante podría aprovechar la vulnerabilidad para

• eine SQL-Injection durchzuführen
• die je nach Datenbankkonfiguration zur Offenlegung von Informationen
• zur Erweiterung von Privilegien oder zur potenziellen Ausführung von Remote-Code führen kann

¿Me afecta?

Afectados según el BSI:

• Open Source Drupal Core <11.3.10
• Open Source Drupal Core <11.2.12
• Open Source Drupal Core <11.1.10
• Open Source Drupal Core <10.6.9
• Open Source Drupal Core <10.5.10
• Open Source Drupal Core <10.4.10
• Open Source Drupal Core <9.5
• Open Source Drupal Core <8.9

La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.

¿Qué ayuda?

Actualizar como mínimo a:

• Open Source Drupal Core 11.3.10
• Open Source Drupal Core 11.2.12
• Open Source Drupal Core 11.1.10
• Open Source Drupal Core 10.6.9
• Open Source Drupal Core 10.5.10
• Open Source Drupal Core 10.4.10
• Open Source Drupal Core 9.5
• Open Source Drupal Core 8.9

¿Se está explotando ya la vulnerabilidad?

• CVE-2026-9082: explotada en la práctica según la CISA, en el catálogo desde el 22.05.2026.